Networking Question #019e3a4f

Por que Network Policies é o recurso correto

Os plugins de Container Network Interface (CNI) são responsáveis por configurar a rede nos clusters Kubernetes. Embora muitos plugins CNI lidem com conectividade básica e Gerenciamento de Endereços IP (IPAM), a capacidade de impor controle de tráfego entre pods é fornecida pelas Network Policies. Network Policies são um recurso do Kubernetes que especifica como grupos de pods podem se comunicar entre si e com outros endpoints de rede. Um plugin CNI deve implementar suporte para Network Policies (por exemplo, integrando-se com firewalls ou programas eBPF) para impor essas regras.

Como funciona

As Network Policies operam no nível do pod, usando labels e seletores para definir regras de entrada e saída. O plugin CNI traduz esses objetos da API do Kubernetes em regras de rede de baixo nível (por exemplo, iptables, eBPF ou fluxos Open vSwitch). Sem o suporte do CNI para Network Policies, qualquer pod pode se comunicar com qualquer outro pod, o que é inseguro para ambientes multi-inquilinos ou de produção.

Por que as outras opções estão incorretas

• Border Gateway Protocol (BGP): BGP é um protocolo de roteamento usado para trocar informações de roteamento entre sistemas autônomos. Embora alguns plugins CNI (por exemplo, Calico) usem BGP para distribuição de rotas, o BGP em si não é um recurso que controla fluxos de tráfego para workloads; é um mecanismo para propagação de rotas. A pergunta pede um recurso que controla fluxos de tráfego específicos, que é o papel das Network Policies.

• Gerenciamento de Endereços IP (IPAM): IPAM é uma função central dos plugins CNI que lida com alocação e liberação de endereços IP para pods. Ele garante que cada pod receba um IP único, mas não impõe nenhuma filtragem de tráfego ou controle de acesso. IPAM é sobre endereçamento, não sobre políticas.

• Pod Security Policy: Pod Security Policy (PSP) é um recurso de nível de cluster que controla aspectos sensíveis de segurança da especificação do pod (por exemplo, escalonamento de privilégios, namespaces do host). Ele não lida com controle de tráfego de rede. O PSP foi depreciado no Kubernetes v1.21 e removido no v1.25, substituído pelos Pod Security Standards.

Conclusão Principal

Para controlar fluxos de tráfego entre pods, um plugin CNI deve suportar Network Policies. Este é um recurso crítico para implementar microssegmentação e redes de confiança zero no Kubernetes.